apk校验

1.keystore生成

keytool -genkey -alias alias -keyalg RSA -validity 2000 -keystore custom.keystore

2.META-INF下的文件

2.1 MANIFEST.MF

该文件存储所有文件的hash值,低版本使用的SHA1+BASE64,高版本的使用SHA256+BASE64
某一个文件项

Name: res/anim/design_snackbar_in.xml
SHA1-Digest: QPiYcwJRp7LvVEneHabhK9QbisA=

命令行生成对应的hash值

openssl sha1 F:\design_snackbar_in.xml | awk ‘{print $2}’ | xxd -r -ps | base64
QPiYcwJRp7LvVEneHabhK9QbisA=

2.2 CERT.SF

该文件和MANIFEST.MF文件内容相同,只是多了一个MANIFEST.MF的hash值.生成命令同样是SHA1+base64.

CERT.SF里面MANIFEST.MF的hash项

Signature-Version: 1.0
X-Android-APK-Signed: 2
SHA1-Digest-Manifest: zimAs/IPR2Hdd7P4gKjNtxtPNEw=
Created-By: 1.0 (Android)

MANIFEST.MF的hash值

openssl sha1 F:\workspace\UserGuideView-master\app\tmp\META-INF\MANIFEST.MF | awk ‘{print $2}’ | xxd -r -ps | base64
zimAs/IPR2Hdd7P4gKjNtxtPNEw=

2.3 CERT.RSA

CERT.RSA 保存了keystore里面的证书(公钥),以及用自己的私钥加密过得CERT.SF的数据.这样如果一个应用第一次安装,系统如果记录了该CERT.SF如果后续如果有伪造应用没有私钥的情况下,CERT.SF解密肯定会失败,通过这样就可以验证一个应用是否为一个人签发的.
查看CERT.RSA里面的证书

openssl pkcs7 -inform DER -in CERT.RSA -noout -print_certs -text

参考

keytool生成keystore

https://blog.youkuaiyun.com/LIQIANGEASTSUN/article/details/78845903

openssl 生成keystore

https://blog.youkuaiyun.com/kimylrong/article/details/43525333

openssl 从CERT.RSA解析证书

https://blog.youkuaiyun.com/u010571535/article/details/8992543